PCI-DSS megfelelés és a WooCommerce

A PCI-DSS (Payment Card Industry Data Security Standard) a bankkártyás fizetések adatbiztonsági szabványa. Célja, hogy világszerte egységes legyen a kártyaadatok védelme, és csökkenjen a bankkártyás csalások száma.

Kire vonatkozik?

A szabály mindenkire vonatkozik, aki kártyabirtokosi adatot tárol, feldolgoz vagy továbbít.

• Ha olyan fizetési átjárót használsz, amely a fizetést külső oldalon vagy beágyazott, külső mezőkben intézi (például Stripe, PayPal vagy WooPayments), a webhelyed nem kezeli közvetlenül a nyers kártyaadatot. Mivel a pénztár oldalt továbbra is te szolgálod ki, a PCI-DSS rád is vonatkozik, de a megfelelés hatóköre jóval szűkebb.
• A WooCommerce alapbővítménye nem PCI-tanúsítványú, mert nem kezel kártyaadatot, és nem dolgoz fel fizetést. Amint a boltod bankkártyás fizetést fogad, akár biztonságos, külső átjárón át is, a szabvány hatálya alá kerül.
• A megfelelés végső soron a boltüzemeltető felelőssége. A fizetési szolgáltatód gyakran ki is kényszeríti: kérhet kitöltendő önértékelő kérdőívet (SAQ), vagy jóváhagyott letapogató szolgáltató (ASV) általi átvizsgálást.
• Sok követelmény a tágabb környezetre vonatkozik: a tárhelyre, a használt bővítményekre, a felhasználói jogosultságokra, a frissítésekre és a biztonsági vizsgálatokra.

A 12 alapkövetelmény

Cél	Követelmények
Biztonságos hálózat és rendszerek	Hálózatbiztonsági vezérlők telepítése és karbantartása. Biztonságos beállítások minden rendszerelemen.
Fiókadatok védelme	A tárolt fiókadatok védelme. A kártyaadat erős titkosítása nyílt, nyilvános hálózaton való továbbításkor.
Sérülékenységkezelés	Minden rendszer és hálózat védelme kártékony szoftverek ellen. Biztonságos rendszerek és szoftverek fejlesztése és karbantartása.
Erős hozzáférés-vezérlés	A rendszerelemekhez és a kártyaadathoz való hozzáférés korlátozása a munkához szükséges mértékre. A felhasználók azonosítása és hitelesítése. A kártyaadathoz való fizikai hozzáférés korlátozása.
Hálózatok rendszeres figyelése és tesztelése	Minden hozzáférés naplózása és figyelése. A rendszerek és hálózatok biztonságának rendszeres tesztelése.
Információbiztonsági szabályzat	Szervezeti szabályzatok és programok az információbiztonság támogatására.

Mit tehetsz?

1. Dolgozz együtt a tárhelyszolgáltatóddal a tűzfalak megfelelő beállításán.
2. Használj erős jelszavakat, és gondoskodj a tárhely biztonságáról.
3. A WooCommerce soha nem tárolja a kártyaadatot, a hivatalos fizetési átjárók pedig csak részleges adatot őriznek a fizetési tokenek használatakor (például a kártya utolsó 4 számjegyét).
4. Használj SSL-t a pénztár oldalon, és ellenőrizd, hogy a tárhelyed támogatja. Részletek: SSL-kérdések.
5. Kérdezd meg a tárhelyszolgáltatót a kártevő elleni védelemről és a rendszerek biztonságos karbantartásáról.
6. Használd a WordPress szerepköreit, és kövesd a biztonsági ajánlásokat az adminisztrátori felhasználók kezelésekor.
7. Ahol lehet, naplózd és nézd át az adminisztrátori tevékenységet, és korlátozd a hozzáférést az érzékeny területekhez.
8. Egyeztess a tárhelyszolgáltatóddal vagy a fejlesztőddel az adatok elérésének és tárolásának védelméről.
9. Ha a fizetési szolgáltatód megköveteli, vegyél igénybe jóváhagyott letapogató szolgáltatót (ASV).
10. Készíts és tarts karban PCI-DSS szabályzatot, és időnként végezz kockázatfelmérést.

Első lépések a megfeleléshez

• Válassz biztonságos, a PCI-követelményekkel tisztában lévő tárhelyszolgáltatót.
• Használj erős jelszavakat, és a lehető legkevesebb embernek adj hozzáférést az admin felülethez.
• Soha ne tárolj bankkártyaadatot a szervereden vagy a webhelyeden.
• Titkosítsd SSL-lel a pénztár és a fiókoldalak forgalmát.
• Tartsd naprakészen a bővítményeket, a témákat, a WordPresst és a WooCommerce-t.
• Rendszeresen vizsgáltasd át a webhelyet ASV-vel.

Megjegyzés

A szabvány leírása a PCI-DSS 4.0.1-es változatán alapul. A teljes követelményrendszert a PCI Security Standards Council közli.